Leverandørinnlåsning i offentlige IKT-kontrakter – når avhengighet blir et juridisk problem

Offentlige virksomheter inngår hvert år IKT-kontrakter for betydelige beløp. Mange av avtalene gjelder systemer som skal benyttes i tiår fremover. Likevel vies det ofte for liten oppmerksomhet til hva som skjer når kontrakten utløper, behovene endrer seg eller virksomheten ønsker å bytte leverandør. En dom fra EU-domstolen gjør det klart at leverandørinnlåsning ikke bare er et teknisk og kommersielt problem. Det kan også få betydelige anskaffelsesrettslige konsekvenser.

Når leverandøren blir uerstattelig

Se for deg at en offentlig virksomhet anskaffer et nytt fagsystem. Leverandøren utvikler løsningen, gjennomfører implementeringen og får deretter ansvaret for drift og vedlikehold.

Etter noen år oppstår behovet for videreutvikling. Virksomheten ønsker nye funksjoner, integrasjoner mot andre systemer og kanskje en modernisering av den tekniske plattformen.

Problemet er at ingen andre leverandører kan utføre arbeidet.

Den opprinnelige leverandøren eier kildekoden, kontrollerer den tekniske dokumentasjonen og har enerett til å gjøre endringer i programvaren. Virksomheten har heller ikke sikret seg tilstrekkelige rettigheter til å la andre leverandører overta oppgavene.

Resultatet er at virksomheten i praksis må fortsette å kjøpe tjenester fra samme leverandør.

Dette omtales gjerne som vendor lock-in, eller leverandørinnlåsning.

Innlåsning kan oppstå på flere måter. Noen ganger skyldes den immaterielle rettigheter, andre ganger tekniske avhengigheter eller mangel på dokumentasjon. Den kan også skyldes at virksomheten har gjort seg avhengig av leverandørens kompetanse, proprietære grensesnitt eller spesielle dataformater.

Det er ikke nødvendigvis noe galt i å benytte proprietær teknologi. Problemet oppstår når avhengigheten blir så omfattende at virksomheten mister muligheten til å konkurranseutsette fremtidige leveranser.

Da kan det som opprinnelig fremsto som en god anskaffelse, bli en betydelig utfordring.

En IKT-kontrakt fra 1992 endte i EU-domstolen

Den 9. januar 2025 avsa EU-domstolen dom i sak C-578/23, som gjaldt de tsjekkiske skattemyndighetenes anskaffelse av vedlikeholdstjenester til et informasjonssystem.

Historien begynte allerede i 1992.

Det tsjekkiske finansdepartementet inngikk da en kontrakt med IBM om utvikling av et informasjonssystem for skatteforvaltningen.

Systemet ble etter hvert en sentral del av myndighetenes virksomhet. IBM hadde imidlertid rettigheter til programvaren som begrenset muligheten for at andre leverandører kunne utføre vedlikehold og videreutvikling.

I 2016, hele 24 år etter den opprinnelige kontrakten, inngikk skattemyndighetene en ny vedlikeholdskontrakt med IBM uten forutgående konkurranse.

Begrunnelsen var at bare IBM kunne levere tjenestene. Myndighetene viste blant annet til behovet for teknisk kontinuitet og leverandørens enerettigheter til programvaren.

Den tsjekkiske konkurransemyndigheten mente imidlertid at vilkårene for å gjennomføre anskaffelsen uten konkurranse ikke var oppfylt.

Saken gikk gjennom det tsjekkiske rettssystemet før den øverste forvaltningsdomstolen ba EU-domstolen om å avklare hvordan anskaffelsesregelverket skulle forstås.

Spørsmålet var i realiteten ganske enkelt:

Kan en offentlig oppdragsgiver begrunne en direkteanskaffelse med at bare én leverandør kan levere, dersom oppdragsgiver selv har bidratt til å skape eller opprettholde denne situasjonen?

EU-domstolen: Oppdragsgiver må ta ansvar for egen innlåsning

EU-domstolens svar innebærer en viktig begrensning i adgangen til å gjennomføre anskaffelser uten konkurranse.

Utgangspunktet er at offentlige kontrakter skal konkurranseutsettes. Unntakene fra dette utgangspunktet skal tolkes strengt.

Etter anskaffelsesregelverket kan det i bestemte tilfeller være adgang til å inngå kontrakt direkte med én leverandør, eksempelvis dersom tekniske forhold eller enerettigheter gjør at bare denne leverandøren kan utføre kontrakten.

Men det er ikke tilstrekkelig å vise til at det faktisk bare finnes én aktuell leverandør.

Oppdragsgiver må også kunne godtgjøre at den aktuelle enerettighetssituasjonen ikke kan tilskrives oppdragsgiver selv.

Domstolen understreket at offentlige oppdragsgivere må gjøre det som med rimelighet kan forventes for å unngå situasjoner hvor konkurranse ikke er mulig.

Det innebærer blant annet at oppdragsgiver ikke kan påberope seg en leverandøravhengighet som begrunnelse for direkteanskaffelse dersom virksomheten hadde reelle og økonomisk rimelige muligheter til å komme ut av avhengigheten.

Dette gjelder ikke bare når den opprinnelige kontrakten inngås.

Også oppdragsgivers handlinger og unnlatelser i årene etter kontraktsinngåelsen er relevante.

I den tsjekkiske saken måtte den nasjonale domstolen derfor vurdere om myndighetene i perioden frem til anskaffelsen i 2016 hadde hatt rimelige muligheter til å redusere eller avslutte avhengigheten av IBM.

EU-domstolen avgjorde ikke selv om den konkrete vedlikeholdskontrakten var ulovlig. Den fastsatte de rettslige kriteriene som den nasjonale domstolen måtte anvende.

Det sentrale er likevel klart: En offentlig virksomhet kan ikke uten videre bruke sin egen leverandøravhengighet som begrunnelse for å unnlate konkurranse.

Innlåsning kan ikke løses med en begrunnelse i anskaffelsesprotokollen

Dommen har særlig betydning for virksomheter som forvalter eldre IKT-systemer.

Mange offentlige virksomheter har løsninger som har vært i drift i 10, 20 eller 30 år. Systemene kan være utviklet gjennom en rekke kontrakter, endringsavtaler og tilleggsbestillinger.

Over tid kan det bli stadig vanskeligere å skille mellom hva som opprinnelig ble anskaffet, og hva som senere er utviklet.

Leverandøren kan ha opparbeidet seg en tilnærmet enerådende posisjon.

Det er lett å forstå hvorfor en virksomhet i en slik situasjon ønsker å fortsette med eksisterende leverandør. Å bytte kan innebære betydelige kostnader, teknisk risiko og fare for driftsavbrudd.

Men det er nettopp her dommen får betydning.

Dersom oppdragsgiver over flere år har hatt mulighet til å forberede en konkurranse, sikre nødvendige rettigheter eller planlegge overgang til en annen løsning, kan det være vanskelig å begrunne en ny direkteanskaffelse med at leverandøren er den eneste som kan utføre arbeidet.

Det holder ikke nødvendigvis å dokumentere at ingen andre kan levere i dag.

Virksomheten må også kunne forklare hvorfor situasjonen har oppstått, og hva den har gjort for å unngå den.

Dette betyr ikke at alle eldre systemer må skiftes ut, eller at enhver form for leverandøravhengighet er ulovlig. Vurderingen må være konkret, og det må blant annet tas hensyn til hvilke tekniske, rettslige og økonomiske handlingsalternativer virksomheten faktisk har hatt.

Likevel skjerpes betydningen av langsiktig kontraktsforvaltning.

En anskaffelsesprotokoll som beskriver dagens tekniske begrensninger, kan ikke uten videre reparere manglende planlegging gjennom flere år.

Problemet starter ofte i kravspesifikasjonen

Leverandørinnlåsning forbindes gjerne med kontraktsvilkår om opphavsrett, kildekode og lisensiering.

Men grunnlaget for innlåsning legges ofte allerede når behovet beskrives.

En kravspesifikasjon som bare beskriver hvilke funksjoner systemet skal ha ved levering, sier lite om virksomhetens fremtidige handlingsrom.

Hva skjer dersom systemet skal integreres med en ny løsning? Kan andre leverandører utvikle integrasjonene? Hvem eier dataene? Kan virksomheten hente dem ut i et dokumentert og maskinlesbart format?

Og hva skjer dersom virksomheten ønsker å konkurranseutsette drift, vedlikehold eller videreutvikling separat?

Slike spørsmål bør besvares før kontrakten inngås.

Det er særlig viktig å skille mellom eierskap til en løsning og retten til å benytte, vedlikeholde og videreutvikle den.

En offentlig virksomhet trenger ikke nødvendigvis å eie all kildekode for å unngå innlåsning.

Det avgjørende er hvilke rettigheter virksomheten faktisk trenger for å ivareta sine fremtidige behov.

For enkelte systemer kan dette innebære tilgang til kildekode og rett til å la tredjeparter videreutvikle løsningen. For andre kan det være tilstrekkelig med dokumenterte grensesnitt, standardiserte dataformater og kontraktsfestede muligheter for migrering.

Det er heller ikke slik at åpne standarder alene eliminerer risikoen. En løsning kan benytte åpne grensesnitt og likevel være vanskelig å erstatte dersom virksomheten mangler nødvendig dokumentasjon, kompetanse eller tilgang til egne data.

Målet bør ikke nødvendigvis være å eliminere enhver avhengighet, men å sikre at avhengigheten ikke hindrer fremtidig konkurranse.

Drift, vedlikehold og videreutvikling bør kunne konkurranseutsettes

En vanlig utfordring ved IKT-anskaffelser er at flere forskjellige tjenester knyttes tett sammen.

Virksomheten anskaffer eksempelvis et system med tilhørende drift, vedlikehold, brukerstøtte og videreutvikling.

Dette kan være hensiktsmessig i etableringsfasen. Det kan redusere risiko og gi leverandøren et samlet ansvar.

Men dersom kontrakten ikke regulerer hvordan de enkelte tjenestene senere kan skilles fra hverandre, kan virksomheten bli avhengig av å kjøpe hele tjenestespekteret fra samme leverandør.

Det kan få betydelige økonomiske konsekvenser.

En leverandør som vet at kunden ikke har realistiske alternativer, vil normalt ha en sterkere forhandlingsposisjon enn en leverandør som må konkurrere om oppdraget.

Det kan påvirke både pris, kvalitet og utviklingstakt.

Ved utforming av kontrakter bør offentlige virksomheter derfor vurdere om ulike tjenester skal kunne overtas av andre leverandører.

Det kan eksempelvis være aktuelt å skille mellom applikasjonsforvaltning, teknisk drift, infrastruktur, brukerstøtte og videreutvikling.

Det betyr ikke at alle tjenestene nødvendigvis skal anskaffes separat.

Poenget er at kontrakten bør gi virksomheten mulighet til å endre leveransemodellen senere, uten at tekniske eller rettslige begrensninger gjør dette uforholdsmessig vanskelig.

En slik tilnærming stiller krav til tydelige ansvarsbeskrivelser, dokumenterte grensesnitt og regulering av samarbeid mellom leverandører.

Det bør også fremgå hvem som har ansvar for integrasjoner, endringshåndtering, hendelser og feil som oppstår i grensesnittet mellom ulike tjenester.

Uten slike avklaringer kan en oppdeling av leveransene skape nye problemer.

Exit må planlegges før kontrakten signeres

De fleste større IKT-kontrakter inneholder bestemmelser om bistand ved opphør.

Likevel er det stor forskjell på en generell bestemmelse om at leverandøren skal bistå ved overgang, og en faktisk gjennomførbar exit-plan.

Dersom virksomheten først begynner å undersøke hvordan den skal komme seg ut av avtalen når kontrakten nærmer seg utløp, kan det allerede være for sent.

En reell exit-plan bør blant annet regulere:

• Data: Hvordan virksomhetens data skal utleveres, i hvilke formater og med hvilken dokumentasjon.
• Rettigheter: Hvilke lisenser, bruksrettigheter og andre immaterielle rettigheter som er nødvendige for videre drift og overgang.
• Dokumentasjon: Hvilken teknisk og funksjonell dokumentasjon som skal vedlikeholdes og overleveres.
• Kompetanseoverføring: Hvordan nødvendig kunnskap skal overføres til virksomheten eller en ny leverandør.
• Overgangstjenester: Hvilke tjenester eksisterende leverandør plikter å levere i overgangsperioden.
• Pris: Hvordan overgangsbistand skal prises, slik at leverandøren ikke får en urimelig sterk forhandlingsposisjon ved kontraktens opphør.
• Testing: Hvordan det skal verifiseres at data, integrasjoner og tjenester faktisk kan overtas av en annen leverandør.

Særlig det siste punktet fortjener oppmerksomhet.

Det er liten verdi i en kontraktsbestemmelse om dataeksport dersom virksomheten aldri har kontrollert at dataene faktisk kan eksporteres og benyttes i en annen løsning.

Tilsvarende hjelper det lite å ha rett til teknisk dokumentasjon dersom dokumentasjonen er ufullstendig eller utdatert.

Exit bør derfor ikke behandles som en aktivitet som først starter ved kontraktens opphør.

Den bør være en del av den løpende kontraktsforvaltningen.

For virksomhetskritiske systemer kan det være hensiktsmessig å gjennomføre periodiske tester av utvalgte exit-forutsetninger, eksempelvis dataeksport, gjenoppretting og overføring av dokumentasjon.

Særlig viktig ved bruk av skytjenester

Leverandørinnlåsning er ikke et problem som forsvinner ved overgang til skyen.

Tvert imot kan avhengigheten bli mer sammensatt.

En virksomhet som benytter en offentlig skytjeneste, kan ha tilgang til standardiserte grensesnitt og gode eksportmuligheter. Samtidig kan løsningen være bygget på proprietære databaser, identitetstjenester, integrasjonsplattformer eller andre tjenester som ikke uten videre lar seg flytte.

Jo flere leverandørspesifikke tjenester virksomheten tar i bruk, desto mer omfattende kan en fremtidig migrering bli.

Dette gjelder særlig løsninger som bygger på plattformtjenester, hvor applikasjonene utvikles tett integrert med skyleverandørens teknologi.

Det er ikke nødvendigvis et argument mot slike tjenester.

Leverandørspesifikke funksjoner kan gi betydelige fordeler gjennom lavere utviklingskostnader, bedre skalerbarhet og raskere tilgang til ny funksjonalitet.

Men fordelene bør vurderes opp mot kostnadene ved å bytte leverandør.

En virksomhet som velger en løsning med høy grad av teknisk avhengighet, bør derfor ha et bevisst forhold til konsekvensene.

Det er forskjell på å akseptere en kjent og håndterbar innlåsning og å oppdage avhengigheten først når kontrakten skal konkurranseutsettes på nytt.

Hva betyr dommen for norske offentlige oppdragsgivere?

Selv om dommen gjaldt en tsjekkisk anskaffelse, er den relevant for norske offentlige virksomheter.

Norge er gjennom EØS-avtalen bundet av de sentrale anskaffelsesrettslige reglene som gjelder i EU.

Dommen gjaldt riktignok det tidligere anskaffelsesdirektivet 2004/18/EF artikkel 31 nr. 1 bokstav b.

Det gjeldende anskaffelsesdirektivet 2014/24/EU inneholder imidlertid tilsvarende regler om adgangen til å gjennomføre anskaffelser uten forutgående kunngjøring.

I norsk rett er dette blant annet regulert i anskaffelsesforskriften § 13-4 bokstav b.

Bestemmelsen åpner på nærmere vilkår for anskaffelser uten konkurranse når bare én bestemt leverandør kan levere, eksempelvis på grunn av tekniske årsaker eller enerettigheter.

For de aktuelle unntakene er det også et vilkår at det ikke finnes rimelige alternativer eller erstatningsløsninger, og at den manglende konkurransen ikke skyldes at oppdragsgiver har tilpasset anskaffelsesdokumentene til en bestemt leverandør.

EU-domstolens avgjørelse understreker at vurderingen ikke kan begrenses til situasjonen på anskaffelsestidspunktet.

Det kan også være nødvendig å undersøke hvordan leverandøravhengigheten oppsto, og hvilke muligheter oppdragsgiver senere har hatt til å redusere den.

For norske oppdragsgivere innebærer dette at dokumentasjonen bør omfatte mer enn en teknisk erklæring om at bare eksisterende leverandør kan utføre oppdraget.

Det bør også kunne redegjøres for hvilke alternativer som er undersøkt, hvilke tiltak som er vurdert, og hvorfor det eventuelt ikke har vært økonomisk eller teknisk rimelig å etablere konkurranse.

En virksomhet som over tid har unnlatt å håndtere en kjent leverandøravhengighet, kan få problemer med å benytte denne avhengigheten som grunnlag for senere direkteanskaffelser.

Kontraktsforvaltning blir et anskaffelsesrettslig spørsmål

Det kanskje mest interessante ved dommen er betydningen den gir forhold som skjer etter den opprinnelige anskaffelsen.

Tradisjonelt har mye av oppmerksomheten innen offentlige anskaffelser vært rettet mot konkurransegjennomføringen.

Har oppdragsgiver valgt riktig prosedyre? Er kvalifikasjonskravene lovlige? Er tilbudene evaluert i samsvar med konkurransegrunnlaget?

Dette er naturligvis viktige spørsmål.

Men for langsiktige IKT-kontrakter kan beslutningene som tas under kontraktsperioden, være minst like avgjørende for fremtidig konkurranse.

Dersom virksomheten gjennom flere år aksepterer at dokumentasjonen forringes, at nye integrasjoner blir leverandørspesifikke, eller at rettighetene til videreutvikling begrenses, kan dette gradvis redusere muligheten til å konkurranseutsette tjenestene.

Det kan skje uten at noen enkelt beslutning fremstår som særlig dramatisk.

Hver endring kan være fornuftig isolert sett.

Samlet kan de likevel føre til at virksomheten blir stadig mer avhengig av én leverandør.

Dette viser hvorfor kontraktsforvaltning ikke bare handler om å kontrollere leveranser, fakturaer og tjenestenivåer.

Den handler også om å bevare virksomhetens fremtidige handlingsrom.

For større IKT-kontrakter bør risikoen for leverandørinnlåsning derfor inngå i den ordinære kontraktsoppfølgingen.

Det bør blant annet vurderes om tekniske endringer, nye tjenester og endrede rettighetsforhold påvirker muligheten til å gjennomføre en fremtidig konkurranse.

Den billigste løsningen i dag kan bli den dyreste i morgen

Offentlige IKT-anskaffelser evalueres ofte med betydelig vekt på pris.

Det er forståelig. Offentlige midler skal forvaltes effektivt, og oppdragsgiver må sikre at anskaffelsen gir god ressursutnyttelse.

Men en lav anskaffelsespris er ikke nødvendigvis ensbetydende med lave kostnader over tid.

En løsning som er rimelig å etablere, kan bli kostbar dersom virksomheten senere må betale betydelige beløp for videreutvikling, integrasjoner eller overgang til en ny leverandør.

Dette er kostnader som ikke alltid fremkommer tydelig i den opprinnelige evalueringen.

En mer helhetlig vurdering bør derfor inkludere kostnadene ved å forvalte, videreutvikle og avvikle løsningen.

I noen tilfeller kan det være økonomisk fornuftig å akseptere en viss grad av leverandøravhengighet.

Men da bør dette være resultatet av en bevisst vurdering, ikke en utilsiktet konsekvens av mangelfulle krav eller kontraktsvilkår.

Fra teknisk avhengighet til juridisk ansvar

EU-domstolens avgjørelse i C-578/23 er en påminnelse om at offentlige oppdragsgivere har et selvstendig ansvar for å ivareta konkurransen.

Det ansvaret opphører ikke når kontrakten er signert.

Virksomheten må også forholde seg til hvordan egne beslutninger påvirker muligheten for konkurranse ved senere anskaffelser.

Dette betyr ikke at alle IKT-systemer må bygges på åpne løsninger, eller at offentlige virksomheter alltid skal kunne bytte leverandør uten kostnader.

Det betyr heller ikke at en oppdragsgiver plikter å gjennomføre enhver tenkelig investering for å redusere leverandøravhengighet.

Men dersom det finnes reelle og økonomisk rimelige muligheter til å unngå eller avslutte en situasjon hvor bare én leverandør kan levere, kan oppdragsgiver ikke uten videre se bort fra disse.

Det er særlig viktig for virksomheter som forvalter samfunnskritiske systemer, hvor kontinuitet og stabilitet ofte brukes som argumenter for å videreføre eksisterende leverandørforhold.

Nettopp slike systemer bør ha gjennomtenkte strategier for rettigheter, dokumentasjon, videreutvikling og exit.

Den viktigste lærdommen er derfor ikke at offentlige virksomheter må unngå enhver form for leverandørinnlåsning. Det er at de må forstå, vurdere og håndtere den før avhengigheten blir et hinder for konkurranse.

En god IKT-kontrakt skal ikke bare sikre at leverandøren kan levere tjenestene i dag.

Den bør også sikre at oppdragsgiver har reelle valgmuligheter i morgen.

Rettslig referanse

EU-domstolens dom av 9. januar 2025 i sak C-578/23, Česká republika – Generální finanční ředitelství mot Úřad pro ochranu hospodářské soutěže, ECLI:EU:C:2025:2.

Særlig relevante er premiss 30–32 og 37–39, som omhandler oppdragsgivers ansvar for å unngå og avhjelpe leverandøravhengighet.

Dommen gjaldt direktiv 2004/18/EF artikkel 31 nr. 1 bokstav b. Tilsvarende problemstillinger aktualiseres etter direktiv 2014/24/EU artikkel 32 og anskaffelsesforskriften § 13-4.